A LGPD não proíbe a imobiliária de receber, responder ou acompanhar leads. Ela exige que cada uso do dado tenha uma base legal, uma finalidade clara e só o necessário, e que o cliente consiga saber o que você guarda e pedir para corrigir ou apagar. O que mais muda é o depois: reaproveitar contatos, repassar para terceiros e guardar planilhas indefinidamente.
Abaixo, as situações do dia a dia do atendimento de leads, cada uma com o artigo da Lei 13.709/2018 ou a norma da ANPD que a sustenta. Os links estão em Fontes, no fim do texto.
A LGPD vale para corretor autônomo e imobiliária pequena?
Vale. A lei se aplica ao tratamento de dados feito por pessoa natural ou jurídica (art. 1º e art. 3º), e a exceção para pessoa física só cobre fins exclusivamente particulares e não econômicos (art. 4º, I). Atender cliente é atividade econômica, então o corretor autônomo está dentro.
O que existe é um regime simplificado. A Resolução CD/ANPD nº 2/2022 trata dos agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e quem se enquadra nos critérios dela, e flexibiliza algumas obrigações. Ela não vale para quem faz tratamento de alto risco ou ultrapassa os limites de receita previstos.
Preciso de consentimento para responder um lead?
Em regra, não. Quando a pessoa pede informação sobre um imóvel, responder e agendar visita se apoia na base legal de procedimentos preliminares a um contrato, a pedido do titular (art. 7º, V). O consentimento (art. 7º, I) é só uma das dez bases legais da lei, não a única.
A finalidade, porém, limita o uso. O princípio da finalidade (art. 6º, I) exige propósito legítimo, específico e informado. O lead que perguntou sobre um apartamento deu o telefone para tratar daquele interesse, não para receber qualquer campanha da imobiliária para sempre.
Posso mandar outros imóveis para um lead antigo?
Pode, desde que haja base legal para essa nova finalidade. Os caminhos usuais são o consentimento, pedido de forma destacada e específica, ou o legítimo interesse (art. 7º, IX e art. 10), que exige respeitar as legítimas expectativas do titular, usar só os dados necessários e garantir transparência.
O Guia de Legítimo Interesse da ANPD recomenda registrar um teste de balanceamento em três fases: finalidade, necessidade e balanceamento com salvaguardas. Uma salvaguarda que o próprio guia cita em exemplo é oferecer um mecanismo de descadastramento. Na prática: avise na primeira conversa que você pode enviar opções parecidas, ofereça a saída em todo envio e respeite o "não quero mais" na hora.
Posso repassar o lead para outro corretor ou para o proprietário?
Dentro da mesma imobiliária, distribuir o lead entre corretores faz parte do atendimento que a pessoa pediu. Repassar para outra empresa é outro tratamento: precisa de base legal própria e de transparência (art. 9º, V, sobre uso compartilhado). Se a base for o consentimento, a lei exige consentimento específico para compartilhar com outros controladores (art. 7º, § 5º).
Cuidado especial com parcerias entre imobiliárias e com a "planilha de compradores" que circula entre colegas. Antes de enviar dados de um cliente para fora, confirme se ele sabe disso e se você consegue explicar por quê.
Quais dados pedir no primeiro contato?
Só os necessários para atender: nome, um meio de contato e o interesse. O princípio da necessidade (art. 6º, III) limita o tratamento ao mínimo para a finalidade. CPF, renda e estado civil entram quando houver proposta, análise de crédito ou contrato, não no formulário do site.
Formulário enxuto também converte melhor, então aqui a lei e o comercial apontam para o mesmo lado. Se o site coleta dados, publique uma política de privacidade com finalidade, identificação e contato do controlador e os direitos do titular, como pede o art. 9º.
Por quanto tempo posso guardar os dados de um lead?
Enquanto houver finalidade. O tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários, ao fim do período de tratamento ou a pedido do titular (art. 15). Depois disso, os dados devem ser eliminados, salvo exceções como cumprimento de obrigação legal ou uso exclusivo do controlador com dados anonimizados (art. 16).
A lei não fixa um número de meses para leads. Defina a sua regra por escrito, por exemplo revisar contatos sem interação há determinado tempo, e aplique. Planilhas exportadas e esquecidas em computadores pessoais são o ponto mais comum de descontrole.
O que fazer quando o cliente pede para ver ou apagar os dados dele?
Atender, sem custo para ele. O art. 18 garante confirmação da existência de tratamento, acesso, correção, anonimização ou eliminação de dados desnecessários, informação sobre compartilhamento e revogação do consentimento. Pelo art. 19, a confirmação ou o acesso devem ser dados de forma simplificada imediatamente ou por declaração completa em até 15 dias.
Para cumprir esse prazo, você precisa saber onde estão os dados: no CRM, no WhatsApp, no e-mail, em planilhas. Quanto mais o atendimento estiver concentrado num sistema só, mais simples é responder.
A imobiliária precisa ter um encarregado (DPO)?
A regra geral é sim: o controlador deve indicar um encarregado e divulgar publicamente sua identidade e contato (art. 41). Agentes de pequeno porte, porém, foram dispensados dessa indicação pelo art. 11 da Resolução CD/ANPD nº 2/2022, desde que mantenham um canal de comunicação para o titular.
Um e-mail de privacidade divulgado no site e na política, com alguém responsável por responder, já cumpre a função desse canal. A própria resolução trata a indicação voluntária de encarregado como boa prática.
E se houver vazamento de dados?
O controlador deve comunicar à ANPD e aos titulares o incidente de segurança que possa causar risco ou dano relevante (art. 48). A Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis para essa comunicação. Antes disso, o art. 46 exige medidas de segurança técnicas e administrativas para evitar o incidente.
No dia a dia de imobiliária, as medidas mais concretas são simples: login individual para cada corretor, segundo fator de autenticação, acesso apenas aos leads de cada um, desligamento imediato de quem sai da equipe e nada de documentos de cliente em grupos de mensagem.
Quais são as sanções da LGPD?
A ANPD pode aplicar advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados, entre outras sanções (art. 52). O titular também pode peticionar contra o controlador perante a ANPD (art. 18, § 1º).
Como o CRM ajuda a cumprir a LGPD no atendimento?
Concentrando os dados num lugar com controle de acesso, em vez de espalhados em celulares e planilhas. No Larvon, o perfil de cada usuário define o que ele vê: o corretor acessa os próprios leads, o gerente vê a equipe. O login dos administradores da conta aceita autenticação em dois fatores, e os dados ficam armazenados no Brasil.
Quando um cliente pede seus dados, dá para exportar o que o CRM guarda sobre aquela pessoa; quando pede para ser esquecido, dá para anonimizar o cadastro. No site, o banner de cookies mantém medição e marketing desligados até o visitante aceitar, e o site pode publicar a sua página de política de privacidade. O sistema não escolhe a base legal por você, mas reduz o número de lugares onde o dado pode vazar. Veja como isso se encaixa na rotina em sistema para imobiliária e no guia de CRM imobiliário. Antes de publicar anúncios, vale também passar o texto no verificador de anúncio grátis.
Este conteúdo é informativo e não constitui aconselhamento jurídico. A aplicação da LGPD depende do caso concreto e da regulamentação da ANPD, que é atualizada periodicamente. Para definir bases legais, contratos e políticas da sua imobiliária, consulte um advogado especializado em proteção de dados.
Fontes
- Planalto — Lei Geral de Proteção de Dados (Lei 13.709/2018), texto compilado — arts. 1º, 3º, 4º (aplicação), 6º (princípios), 7º e 10 (bases legais e legítimo interesse), 9º (transparência), 15 e 16 (término e eliminação), 18 e 19 (direitos e prazo de 15 dias), 41 (encarregado), 46 e 48 (segurança e incidentes), 52 (sanções).
- ANPD — Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte) — regime simplificado; art. 11 dispensa a indicação de encarregado, exigindo canal de comunicação com o titular.
- ANPD — Resolução CD/ANPD nº 15/2024 (comunicação de incidente de segurança) — prazo de três dias úteis para comunicar incidente à ANPD e aos titulares.
- ANPD — Guia orientativo: Hipóteses legais de tratamento de dados pessoais — Legítimo interesse — teste de balanceamento em três fases (finalidade, necessidade, balanceamento e salvaguardas).
- ANPD — Comunicação de incidente de segurança — canal oficial para o controlador comunicar incidentes.
Perguntas frequentes
Corretor autônomo precisa seguir a LGPD?
Sim. A LGPD se aplica a pessoa natural ou jurídica que trata dados pessoais (arts. 1º e 3º), e a exceção para pessoa física vale só para fins exclusivamente particulares e não econômicos (art. 4º, I). Atender clientes é atividade econômica.
Preciso pedir consentimento para responder um lead de imóvel?
Em regra, não. Responder a quem pediu informação sobre um imóvel se apoia em procedimentos preliminares a um contrato, a pedido do titular (art. 7º, V). O consentimento é uma das bases legais, não a única.
Posso enviar ofertas de outros imóveis para leads antigos?
Pode, com base legal para essa finalidade, como consentimento específico ou legítimo interesse (arts. 7º, IX e 10). No legítimo interesse, respeite as expectativas do cliente, use só o necessário e ofereça uma forma fácil de parar de receber.
Em quanto tempo devo responder quando o cliente pede acesso aos dados?
Pelo art. 19 da LGPD, a confirmação ou o acesso devem ser fornecidos em formato simplificado imediatamente ou por declaração clara e completa em até 15 dias, contados do requerimento do titular.
Imobiliária pequena precisa nomear encarregado de dados?
Agentes de tratamento de pequeno porte estão dispensados da indicação pelo art. 11 da Resolução CD/ANPD nº 2/2022, mas precisam manter um canal de comunicação com o titular. A dispensa não vale para quem faz tratamento de alto risco.
Qual o prazo para comunicar um vazamento de dados de clientes?
A Resolução CD/ANPD nº 15/2024 fixa três dias úteis para o controlador comunicar à ANPD e aos titulares o incidente de segurança que possa causar risco ou dano relevante, conforme o art. 48 da LGPD.